区块链在近两年的迎来了前所未有的热度，街头巷尾、线上线下，对区块链的讨论可谓无处不在。

但是区块链行业的安全问题逐渐凸显，与区块链相关的诈骗、传销等社会化安全问题也日益突出。

基于此，腾讯安全联合实验室联合知道创宇，发布《2018上半年区块链安全报告》（以下简称《报告》），梳理了2018年上半年围绕区块链爆发的典型安全事件，并给出了相应的防御措施。

Bianews梳理了报告的要点，以飨读者。

区块链安全现状

案值过亿安全事件频发

目前，全球约有1600余中数字加密货币，在高峰时期，这些数字加密货币曾撑起了6000亿美元的市值。而排名前十的加密数字货币，占总市场的90%，其中比特币、以太坊币分别占总市值的46.66%和20.12%。

数字加密货币市值分布

这1600多种数字虚拟币中，存在大量完全没有实体项目支撑的“空气币”，被认为一文不值。而除了有空气币的威胁外，还经常要面临被盗的风险。

据不完全调查，仅在2018年上半年，就有价值约11亿美元的数字加密货币被盗，而且这种风险并未得到根本解决。

部分案例：

2013年11月，澳大利亚广播公司报道，当地一位18岁的青年称，自己运营的比特币银行被盗，损失4100个比特币；

2014年3月，美国数字货币交易所Poloniex被盗，损失12.3%的比特币；

2014年Mt.gox盗币案——85万枚，价值120亿美元；

2015年1月，Bitstamp交易所盗币案——1.9万枚比特币，当时价值510万美元；

2015年2月，黑客利用比特儿从冷钱包填充热钱包的瞬间，将比特儿交易平台冷钱包中的所有比特币盗走，总额为7170个比特币,价值1亿美元；

2016年1月1日，Cryptsy交易平台失窃1.3万比特币，价值1.9亿美元；

2016年8月1日，全球知名比特币交易平台Bitfinex盗币案——约12万枚，价值18亿美元；

2017年3月1日，韩国比特币交易所yapizon被盗3831枚比特币，相当于该平台总资产的37%，价值5700万美元；

2017年6月1日，韩国数字资产交易平台Bithumb被黑客入侵，受损账户损失数十亿韩元；

2017年7月1日，BTC-e交易所盗币案——6.6万枚，价值9.9亿美元；

2017年11月22日Tether宣布被黑客入侵，价值3100万美元的比特币被盗；

2017年11月23日，Bitfinex发生挤兑3万比特币瞬间被提走；

区块链安全威胁三大根源

机制、生态、使用者

数字货币为何会有如此大的安全风险，其根源在哪儿？

报告指出基于区块链加密数字货币引发的安全问题来源于区块链自身机制安全、生态安全和使用者安全三个方面。

区块链的安全威胁三大根源

上述三方面原因造成的经济损失分别是12.5亿、14.2亿和0.56亿美元。

安全事件统计

其一，区块链自身机制问题。

以以太坊为代表的区块链智能合约设计存在的漏洞问题，带来的经济损失极为严重。

2016年6月，以太坊最大众筹项目The DAO被攻击，黑客获得超过350万个以太币，最终导致以太坊分叉为ETH和ETC。

同时，真实的区块链网络是自由开放的，理论上是无法阻止拥有足够多计算机资源的节点做任何操作，若黑客控制节点中绝大多数计算机资源，就能重改共有账本，最终实现51%“双花攻击”。

其二，区块链生态安全问题。

区块链生态中包括PoW机制下的矿场和矿池、PoS机制下的权益节点、加密数字货币交易所、软硬钱包、数据跟踪浏览器、dApp应用，以及面向未来dApp应用的区块链网关系统等。

其中，围绕交易所发生的安全事件最为显著，交易所被盗远超其他事件类型、交易所被钓鱼、内鬼盗窃、钱包失窃、各种信息数据泄露和篡改、交易所账号失窃等问题，同样值得关注。

《报告》显示，现阶段涉及区块链生态的安全问题，不论从发生数量、损失金额还是攻击类型上在全部的安全事件中均占比最高也最为突出，是近期区块链加密数字货币安全防范的重点。

其三，使用者安全问题。

对于普通用户而言，要理解或完全掌握数字虚拟币钱包这些交易工具使用，具有较高的门槛，要求使用者对计算机、对加密原理、对网络安全均有较高的认知。

然而，许多数字虚拟币交易参与者并不具有这些能力，极易出现安全问题。东莞曾有一名叫imToken的用户发现自己账户的100多个ETH（以太坊币）被盗，最终发现是身边的熟人作案。

数字加密货币的三大安全威胁

勒索、非法挖矿、盗窃

从席卷全球的WannaCry勒索病毒到“tlMiner”挖矿木马案件，再到近期层出不穷的数字货币被盗事件，不法分子看中数字加密货币的匿名性，使用非法手段获取了大量不义之财，“勒索”、“非法挖矿”及“盗窃”已发展成为区块链数字加密货币三大安全威胁。

1.勒索

勒索病毒加密受害者电脑系统，并要求受害者向某些指定的比特币钱包转帐，其危害范围日益扩大，影响到事关国计民生的各个行业。

从受攻击行业分布上看，传统工业、互联网行业、教育行业和政府机构是受勒索病毒攻击的重灾区，医疗行业紧随其后。医疗由于其行业特殊性，一旦遭受到病毒攻击导致业务停摆，后果将不堪设想。

勒索病毒攻击行业分布

观察2018上半年勒索病毒攻击系统占比可知，Windows Server版本系统受攻击次数占比大于普通家用、办公系统。

Windows Server版本系统中Windows Server 2008版本系统受勒索病毒攻击占比最大，造成该现象的主要原因为企业服务器数据价值一般情况下要远远高于普通用户，中招后更加倾向于缴纳勒索赎金，这一特性进一步刺激了攻击者有针对性地对服务器系统的设备实施攻击行为。

勒索病毒攻击系统占比

2.挖矿木马

挖矿木马侵入受害者电脑后，会运行挖矿程序，占用受害者电脑的资源，并对电脑产生巨大损耗，缩短硬件生命。

特别是在进入2018年以来，PC端挖矿木马以前所未有的速度增长，仅上半年爆出挖矿木马事件45起，比2017年整年爆出的挖矿木马事件都要多。

由于挖矿对性能有一定要求，所以性能较高的游戏高配机成为“香饽饽”，这类挖矿病毒通常隐藏在热门游戏辅助中。

2018年1月，腾讯电脑管家曝光tlMiner挖矿木马隐藏在《绝地求生》辅助程序中进行传播。据统计，该病毒团伙合计挖掘DGB（极特币）、HSR（红烧肉币）、XMR（门罗币）、SHR（超级现金）、BCD（比特币钻石）等各种数字加密货币超过2000万枚，非法获利逾千万。

而从上半年的挖矿木马的情况来看，挖矿木马在不断的进化中，可选择的币种越来越多，设计越来越复杂，隐藏也越来越深，与杀毒软件的对抗会更加激烈。

挖矿网站类型

3.让交易所头疼的数字劫匪

数字加密货币的盗窃行为是区块链安全的重大风险，而中心化的交易所成为被盗的重点对象。据统计，数字加密货币交易所被攻击，仅2018年上半年就损失了约7亿美元。

上半年数字加密货币交易平台被攻击事件

此外，数字盗匪也通过入侵个人账户盗取数字虚拟货币，或是利用智能合约的漏洞发动攻击。

2018年4月，BEC智能合约中被爆出数据溢出漏洞，攻击者共盗取579亿枚BEC币，随后SMT币也被爆出类似漏洞。

“双花攻击”是控制某数字加密货币网络51%算力之后，对数字加密货币区块链进行攻击，可实现对已经交易完成的数据进行销毁，并重新支付，这样就可获得双倍服务。

2018年5月，BTG（比特黄金）交易链被黑客攻击，黑客向交易所充值后迅速提币，并销毁提币记录，共转走了38.8万枚BTG，获利1.2亿人民币。

安全建议

区块链技术，仍是众多互联网公司乃至国有银行系统重点研究的领域。区块链的应用并不等同于数字虚拟货币，安全专家并不鼓励人们炒币，在此对炒币行为不做赘述。

对于区块链安全来讲，从系统架构上，建议相关企业与专业区块链安全研究组织合作，及时发现、修复系统漏洞，避免导致严重的大规模资金被盗事件发生；

对于参与数字虚拟币交易的网民来讲，应充分了解可能存在的风险，在电脑端、手机端使用安全软件，避免掉进网络钓鱼陷阱，避免数字虚拟币钱包被盗事件发生；

对于普通网民而言，应防止电脑中毒成为被人控制的“矿工”，谨慎使用游戏外挂、破解软件、视频网站客户端破解工具，这些软件被人为植入恶意程序的概率较大。同时，安装正规杀毒软件并及时更新升级，当电脑卡顿、温度过热时，使用安全软件进行检查，防止电脑被非法控制，造成不必要的损失；

对于企业网站、服务器资源的管理者，应部署企业级网络安全防护系统，防止企业服务器被入侵安装挖矿病毒，防止受到勒索病毒侵害。企业网站应防止被黑，及时修补服务器操作系统、应用系统的安全漏洞，避免企业服务器沦为黑客挖矿的工具，同时也避免因服务器被入侵而导致企业网站的访客电脑沦为“矿工”。